CVE-2026-40937
Təsvir
RustFS, Rust dilində qurulmuş paylanmış obyekt saxlama sistemidir. 1.0.0-alpha.94 versiyasından əvvəl, `rustfs/src/admin/handlers/event.rs` faylındakı dörd bildiriş hədəfi admin API son nöqtəsinin hamısı `validate_admin_request` vasitəsilə heç bir admin-əmri avtorizasiyasını yerinə yetirmədən, yalnız autentifikasiyanı (giriş açarı + sessiya tokeni) yoxlayan `check_permissions` köməkçi funksiyasından istifadə edir. Kod bazasındakı digər bütün admin idarəediciləri düzgün şəkildə müvafiq `AdminAction` ilə `validate_admin_request` funksiyasını çağırır. Bu, avtorizasiyanı ötürən yeganə admin idarəedici faylıdır. Admin olmayan istifadəçi, paylaşılmış və admin tərəfindən təyin edilmiş bildiriş hədəfini adı ilə yenidən yaza bilər ki, bu da sonrakı bucket hadisələrinin hücumçu tərəfindən idarə olunan son nöqtəyə göndərilməsinə səbəb olur. Bu, istifadəçilərarası hadisələrin tutulmasına və auditdən yayınmağa imkan verir. 1.0.0-alpha.94 versiyasında düzəliş mövcuddur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| rustfs rustfs | 1.0.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.